marco normativo
Los productos sanitarios conectados y el software como producto sanitario deben desarrollarse, documentarse y supervisarse en el campo de forma segura conforme al MDR y al IVDR. Complass guía a fabricantes y proveedores de tecnología médica desde el modelo de amenazas hasta la notificación de vulnerabilidades.
El Reglamento sobre los productos sanitarios (UE) 2017/745 (MDR) y el Reglamento sobre los productos sanitarios para diagnóstico in vitro (UE) 2017/746 (IVDR) exigen que el software se desarrolle conforme al estado de la técnica, que la gestión de riesgos incluya la seguridad de la información y que los fabricantes establezcan requisitos mínimos para el hardware, las redes informáticas y las medidas de seguridad informática. La guía MDCG 2019-16 Rev. 1 explica lo que esto significa en la práctica.
Actualidad de los contenidos:
Los requisitos se aplican a los fabricantes de productos sanitarios y de productos sanitarios para diagnóstico in vitro que incluyen software o son ellos mismos software. Los proveedores de electrónica, software embebido, módulos de radio o fabricación por encargo se ven afectados de forma indirecta: los fabricantes les trasladan los requisitos a través del sistema de gestión de la calidad y de los contratos, y esperan, por ejemplo, una SBOM, una hoja de datos de seguridad y compromisos de actualización.
Los productos sanitarios están excluidos de la Cyber Resilience Act. En cambio, los componentes con elementos digitales que se venden también por separado o fuera de la tecnología médica suelen estar incluidos en la CRA. Los fabricantes de productos sanitarios y de productos sanitarios para diagnóstico in vitro pueden además estar sujetos a NIS2 a partir de un tamaño medio de empresa (anexo 2 BSIG).
Este resumen no sustituye al asesoramiento jurídico. Lo que prevalece es el texto legal o normativo; en Complass usted comprueba la aplicabilidad con ayuda de orientaciones basadas en las referencias.
Inicio de aplicación y plazos transitorios según las versiones consolidadas del MDR y del IVDR. Una propuesta de la Comisión del 16.12.2025 (COM(2025) 1023) prevé obligaciones de notificación adicionales para las vulnerabilidades; todavía no ha sido aprobada.
Clasificación y rol, desarrollo seguro con gestión de riesgos, requisitos mínimos para el entorno informático, documentación técnica, vigilancia posterior a la comercialización y vigilancia de incidentes, así como una fase propia para proveedores.
Requisitos de ciberseguridad del MDR y del IVDR, medidas según la MDCG 2019-16 y actividades de seguridad en el ciclo de vida con estado y evidencia, vinculables con la CRA, la IEC 62443 y la ISO 27001.
entre otros: plan de seguridad, modelo de amenazas, expediente de gestión de riesgos de seguridad, registro de SBOM, requisitos mínimos para el entorno informático, política de divulgación coordinada de vulnerabilidades, concepto de parches y actualizaciones y acuerdo de seguridad con proveedores.
Contraste de la SBOM con vulnerabilidades conocidas, registro de incidentes y visión general de los plazos de notificación.
Catálogo: MDR/IVDR requirements relevant to cybersecurity
Implantar marcos normativos con guía: fases, plantillas, pirámide documental, catálogos, análisis de brechas, objetivos y plan de medidas hasta la auditoría en el portal de auditores.
Más informaciónEncuentre las vulnerabilidades conocidas de sus activos, priorícelas en contexto y resuélvalas con recomendaciones y plazos.
Más informaciónRegistro de riesgos con evaluación cualitativa o cuantitativa, apetito de riesgo y plan de tratamiento, vinculado a activos, vulnerabilidades e incidentes.
Más informaciónLa plantilla sectorial «Tecnología médica» preselecciona el marco normativo para el MDR y el IVDR y los módulos que necesita para el modelo de amenazas, las vulnerabilidades y los proveedores.
disponible
desde 476 € al mes más IVA en el paquete Start, tamaño S, pago anual
Todos los precios están dirigidos a empresas, no a consumidores. Se entienden netos más IVA con pago anual; con pago mensual se aplica un recargo del 15 %. Vigente a 16/10/2026. Enterprise y grupos empresariales bajo consulta.
De forma indirecta, sí: sus clientes deben acreditar los requisitos de ciberseguridad del MDR y esperan de usted datos y compromisos para ello. Si vende el componente también a otros sectores, por lo general se aplica además la Cyber Resilience Act. El módulo incluye una fase propia para proveedores.
No. Complass estructura los requisitos de ciberseguridad y las evidencias y puede integrarse en su sistema de gestión de la calidad existente; la evaluación de la conformidad y las aprobaciones siguen en manos de usted y de su organismo notificado.
El módulo describe las actividades con palabras propias, con referencia a los apartados. El texto de la norma lo obtiene usted a través de la distribución de normas; puede guardar en el proyecto extractos de su edición con licencia.
Cree usted mismo su acceso de prueba, con un proyecto de ejemplo por marco normativo si lo desea. Si prefiere que primero le mostremos Complass, solicite una demo.
